谷歌AI “Big Sleep”揭露SQLite严重漏洞，挑战传统测试方法

近日消息，谷歌发布了一则消息，宣布其最新研发的 AI 模型“Big Sleep”在SQLite数据库中检测到了一处内存安全漏洞。该漏洞表现为一种可被利用的栈缓冲下溢问题，在代码正式对外发布前已被修复。“Big Sleep”是谷歌Project Zero与DeepMind合作开发的成果，被认为是早期Project Naptime项目的升级版本。

SQLite 作为一种开源数据库引擎，这一漏洞可能使攻击者通过恶意构造的数据库或 SQL 注入，导致 SQLite 执行崩溃或甚至实现任意代码执行。具体来说，问题源于一个魔法值 -1意外被用作数组索引，虽然代码中有 assert （） 来捕获这一问题，但在发布版本中，该调试级别的检查会被移除。

谷歌指出，利用这一漏洞并不简单，然而更重要的是，这是 AI 首次在真实世界软件中发现已知漏洞。根据谷歌的说法，传统的模糊测试（fuzzing）方法未能找到这个问题，但 Big Sleep 的确做到了。经过分析项目源代码的一系列提交，Big Sleep 在10月初锁定了这个漏洞，并在同一天内得到了修复。

谷歌在11月1日的公告中表示，这一研究成果在防御方面有着巨大的潜力。虽然模糊测试已经有了显著的成效，但谷歌团队认为需要一种新方法来帮助开发者发现那些难以通过模糊测试找到的漏洞，他们对 AI 在这方面的能力充满期待。

在此之前，位于西雅图的 Protect AI 公司也推出了一款名为 Vulnhuntr 的开源工具，声称可以利用 Anthropic 的 Claude AI 模型在 Python 代码库中发现零日漏洞。然而，谷歌团队强调，这两个工具的用途不同，Big Sleep 发现的是与内存安全相关的漏洞。

目前，Big Sleep 仍处于研究阶段，之前主要在已知漏洞的小型程序上进行测试。此次则是其首次在真实环境下进行实验。为了进行测试，研究团队收集了 SQLite 代码库的几个最新提交，并在分析后，调整了模型的提示内容，最终找到了这个漏洞。

尽管取得了这一成就，谷歌团队提醒大家，这些结果仍然属于高度实验性阶段，当前目标特定的模糊测试在发现漏洞方面可能同样有效。

扩 展 阅 读

《谷歌地图》更新：新增5种车型和8种颜色选择，丰富导航车辆定制

谷歌（Google） 昨天